Alternativas
Alternativas ao Syft e ao Grype
O Syft e o Grype são o padrão gratuito para gerar SBOM e fazer a sua correspondência com vulnerabilidades. As equipas procuram alternativas quando precisam de outro formato ou ecossistema, de uma SBOM do que o build realmente usou ou de monitorização que não tenham de operar.
Atualizado a
Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.
Porque é que as equipas olham para além do Syft e do Grype
O Syft é o gerador gratuito da Anchore, sob Apache-2.0, para imagens de contentores e sistemas de ficheiros. Reconhece dezenas de tipos de pacotes, escreve CycloneDX, SPDX e Syft JSON, e pode criar atestações de SBOM in-toto assinadas. O Grype, que o acompanha, faz a correspondência entre a SBOM e as vulnerabilidades.
As equipas procuram outras opções quando a sua situação muda:
- Definições. Os catalogers são escolhidos consoante o tipo de análise, pelo que, num checkout do express com as dependências instaladas, uma flag decide se os pacotes npm aparecem sequer no resultado.
- Formato e ecossistema. Algumas equipas querem um gerador da comunidade CycloneDX, SPDX a partir de um resultado de build ou uma ferramenta feita para um gestor de pacotes.
- Evidências. A SBOM descreve os ficheiros analisados, não o que o build obteve.
- Monitorização. Vigiar o que foi lançado significa guardar as SBOM e voltar a executar o Grype por sua conta.
O que procurar
- Se a SBOM vem de ficheiros no disco ou do que o build obteve.
- Dependências transitivas, e se a ferramenta indica quando o seu registo está incompleto.
- Monitorização depois do lançamento, não apenas uma análise quando a executa.
- Formatos: CycloneDX, SPDX e VEX.
- O que mais precisa de analisar: imagens que não construiu, IaC, segredos, clusters.
As opções
As seis primeiras são geradores de SBOM. As restantes acrescentam correspondência de vulnerabilidades, monitorização ou uma plataforma mais ampla em torno da SBOM.
1. CRACI (o nosso produto)
O CRACI regista a SBOM durante a execução do seu build de GitHub Actions, em vez de analisar ficheiros depois. Um proxy que reconhece pacotes regista todos os pacotes que o job obteve, incluindo pacotes restaurados de caches de CI, e cada SBOM, em CycloneDX ou SPDX, indica a sua completude por job e por cache. O CRACI reavalia continuamente as SBOM monitorizadas à medida que surgem novas vulnerabilidades, as políticas de bloqueio podem travar um build com base nas conclusões e a API devolve SBOM, traços de rede e proveniência.
Indicado para: a SBOM e as vulnerabilidades das dependências do software que desenvolve em GitHub Actions.
A considerar se: não precisa de análise de infraestrutura como código, segredos, clusters ou imagens de VM, que o CRACI não faz, e os seus builds são executados em GitHub Actions em Linux.
Geração de SBOM durante o build
2. cdxgen (open source)
O cdxgen é um projeto OWASP CycloneDX que cria BOM CycloneDX a partir de código-fonte e de imagens de contentores, sob Apache-2.0. Para Node.js, analisa primeiro os lockfiles, incluindo as dependências de desenvolvimento, e também analisa o código em busca de imports. Pode definir o tipo de projeto com -t para limitar o que procura.
Indicado para: equipas padronizadas em CycloneDX que pretendem um gerador da própria comunidade do formato.
A considerar se: consegue trabalhar com o que os ficheiros declaram: tal como os outros scanners, só pode reportar o que tem à frente.
3. Microsoft SBOM Tool (open source)
O Microsoft SBOM Tool é um gerador com licença MIT que escreve SPDX 2.2, ou SPDX 3.0 a pedido, e pode validar uma SBOM face à especificação SPDX. Espera na linha de comandos uma pasta de build drop, um nome de pacote, uma versão e um fornecedor, o que faz dele um passo pós-build, e funciona em GitHub Actions e Azure Pipelines.
Indicado para: equipas que pretendem SPDX para um resultado de build que já empacotam.
A considerar se: a ferramenta é apontada para um build drop: apontada para um repositório tal como está no commit, quase não tem nada para descrever.
CRACI face a uma stack de SBOM feita internamente
4. Ferramentas e plugins de build CycloneDX (open source)
O projeto CycloneDX mantém geradores para ecossistemas individuais, listados no seu Tool Center: plugins para Maven, Gradle e Apache Ant, e ferramentas para npm, Yarn, Python, .NET, módulos Go, Rust Cargo, PHP Composer, Ruby Gems, Erlang e Elixir, e Conan. A CycloneDX CLI, separada e sob Apache 2.0, não gera SBOM: converte, combina, compara, valida e assina SBOM.
Indicado para: um projeto num único ecossistema que pretende um gerador feito para esse ecossistema.
A considerar se: pode executar uma ferramenta por ecossistema numa base de código que mistura linguagens.
5. Tern (open source)
O Tern é uma ferramenta de análise de composição de software e uma biblioteca Python que gera uma SBOM para imagens de contentores e Dockerfiles, sob BSD-2-Clause. Dá uma visão camada a camada do que está dentro de um contentor, a partir dos metadados de pacotes de cada camada, e escreve SPDX tag-value, SPDX JSON e CycloneDX JSON, entre outros formatos.
Indicado para: ver que camada da imagem trouxe que pacote.
A considerar se: as suas necessidades de SBOM dizem respeito a imagens de contentores e não a repositórios de código-fonte.
6. Amazon Inspector SBOM Generator
O Sbomgen é o gerador por trás da análise de imagens, Lambda e EC2 do próprio Amazon Inspector, disponibilizado como binário Linux autónomo. Lê metadados de pacotes a partir de imagens de contentores, diretórios, arquivos, volumes montados e binários Go e Rust compilados, e escreve CycloneDX. Pode enviar a SBOM para a Amazon Inspector Scan API para obter conclusões de vulnerabilidades, o que exige uma conta AWS.
Indicado para: equipas cujas cargas de trabalho já correm na AWS.
A considerar se: vai executá-lo em Linux, a única plataforma que suporta.
Ferramentas de SBOM comparadas
7. Trivy (open source)
Um scanner gratuito, sob Apache-2.0, da Aqua Security. Analisa imagens de contentores, sistemas de ficheiros, repositórios, imagens de VM e Kubernetes em busca de vulnerabilidades, configurações incorretas de IaC, segredos e licenças, e escreve SBOM em CycloneDX ou SPDX. Num repositório, lê os lockfiles; numa imagem, os metadados dos pacotes instalados.
Indicado para: equipas com orçamento apertado ou que pretendem um único scanner em qualquer CI.
A considerar se: consegue construir o resto por conta própria: a monitorização implica voltar a analisar segundo o seu próprio calendário.
8. Anchore Enterprise
O Anchore Enterprise assenta no Syft e no Grype, as ferramentas open source da Anchore. Gera SBOM a partir de imagens de contentores, código-fonte e sistemas de ficheiros, importa SBOM criadas noutros locais, volta a analisar SBOM armazenadas sem o artefacto original e aplica pacotes de políticas para FedRAMP, NIST, CIS, PCI DSS e CMMC. É implementado em Kubernetes, Docker Compose ou em ambientes air-gapped. O preço é sob orçamento.
Indicado para: frotas de contentores em vários sistemas de CI, e ambientes governamentais ou air-gapped.
9. Dependency-Track (open source)
O OWASP Dependency-Track é uma plataforma gratuita, sob Apache 2.0, que acompanha os componentes em todas as versões de todas as aplicações do seu portefólio. Obtém dados de vulnerabilidades de fontes como a NVD e as GitHub Advisories, tem um motor de políticas para regras de segurança, licenças e operações, e consome e produz CycloneDX VEX.
Indicado para: equipas que pretendem uma plataforma de SBOM transparente e self-hosted, sem custo de licença.
A considerar se: está preparado para a operar e alimentar; analisa as SBOM que carrega e não as gera.
CRACI para utilizadores do Dependency-Track
10. Aikido
Uma suite de AppSec abrangente. Todos os planos incluem SCA, SAST, segredos, IaC, postura da cloud, análise de contentores, DAST, análise de licenças e geração de SBOM. O seu SCA usa alcançabilidade ao nível da função, o AutoFix abre pull requests e a suite pode bloquear pull requests com conclusões críticas. Há um plano Developer gratuito, e os planos pagos começam nos $350 por mês (em setembro de 2026).
Indicado para: equipas mais pequenas que pretendem uma ferramenta e um dashboard para a maioria das necessidades de análise.
11. GitHub Advanced Security
Dois produtos pagos sobre as funcionalidades da plataforma GitHub. O Secret Protection abrange a análise de segredos e a proteção de push; o Code Security abrange a análise de código CodeQL, o Copilot Autofix e a revisão de dependências. Assentam no grafo de dependências e no Dependabot, incluídos em todos os planos GitHub, e o grafo é exportado como uma SBOM SPDX. O Secret Protection custa $19 e o Code Security $30 por committer ativo por mês, no Team ou no Enterprise (em setembro de 2026).
Indicado para: equipas cujo código e workflows já estão no GitHub e que pretendem menos fornecedores.
CRACI face ao GitHub Advanced Security
Lado a lado
| Funcionalidade | CRACI | Syft | Trivy | cdxgen | Microsoft SBOM Tool | Exportação do GitHub | Amazon Inspector Sbomgen |
|---|---|---|---|---|---|---|---|
| De onde vem a lista de componentes | Tráfego do build registado | Os catalogers leem ficheiros e imagens | Lockfiles ou pacotes instalados | Código-fonte e imagens de contentores | Uma pasta de saída do build | Manifestos e lockfiles | Ficheiros em imagens, diretórios, arquivos e binários |
| Formatos | CycloneDX, SPDX | CycloneDX, SPDX, Syft JSON | CycloneDX, SPDX | CycloneDX | SPDX | SPDX | CycloneDX |
| Regista o que o build obteve | Incluindo caches de CI | Submissão de dependências | |||||
| Funciona sem executar o build | |||||||
| Atestação ou proveniência assinada | Sem proveniência assinada | Atestação de SBOM in-toto | Com Cosign | Não indicado | Não indicado | Atestações de artefactos | Não indicado |
| Cruzamento com vulnerabilidades | SBOM monitorizadas | Em conjunto com o Grype | Não indicado | Não indicado | Alertas do Dependabot | Inspector Scan API | |
| Política de egress para o build | Falha em modo fechado | ||||||
| Funciona em qualquer CI | Atualmente GitHub Actions; GitLab CI e Jenkins no roadmap | Repositórios GitHub | Só Linux | ||||
| Preço | Paga por minuto de build, sem mensalidade | Gratuito, Apache-2.0 | Gratuito, Apache-2.0 | Gratuito, Apache-2.0 | Gratuito, MIT | Incluído no GitHub | Transferência gratuita |
- Incluído
- Em parte
- Não incluído
- No roadmap
"Não indicado" significa que não conseguimos confirmá-lo nas páginas públicas do fornecedor.
Quando ficar com o Syft e o Grype
- Analisa imagens que não construiu.
- Depende da filtragem VEX do Grype ou de controlos por severidade na CI.
- Quer um gerador gratuito que corra em qualquer lado.
- Pode combinar: mantenha o Syft e o Grype para imagens que não construiu.
Saiba mais sobre a geração de SBOM durante o build, a comparação de ferramentas de SBOM e o que escapa aos geradores de SBOM open source.
Alternativas ao Syft e ao Grype: perguntas frequentes
Respostas curtas às perguntas que as equipas fazem quando comparam
Qual é o melhor gerador de SBOM open source?
Depende daquilo para que o aponta. O Syft e o Trivy são geradores gratuitos sob Apache-2.0 para imagens de contentores e sistemas de ficheiros. O cdxgen escreve CycloneDX a partir de código-fonte e imagens, os plugins de build do CycloneDX cobrem um ecossistema cada, o Microsoft SBOM Tool escreve SPDX para uma pasta de resultados de build, e o Tern mostra uma imagem camada a camada. Todos leem ficheiros. O CRACI, um produto pago, regista a SBOM a partir do próprio build.
Quanto custa o Syft?
Nada. O Syft e o Grype são gratuitos e open source sob Apache-2.0. A Anchore vende o Anchore Enterprise, uma plataforma comercial à parte construída sobre eles, com preços sob orçamento (em setembro de 2026).
Como posso gerar uma SBOM com o Syft?
Execute o syft com um alvo e um formato de saída, por exemplo syft my-image:latest -o spdx-json=sbom.spdx.json para uma imagem, ou syft ./my-project -o cyclonedx-json=sbom.cdx.json para um diretório. syft cataloger list mostra que catalogers correm para esse tipo de análise.
Qual é a diferença entre o Syft e o Grype?
O Syft gera a SBOM. O Grype é o scanner de vulnerabilidades: analisa imagens de contentores, sistemas de ficheiros e SBOM, prioriza com dados EPSS e KEV e suporta OpenVEX para filtrar resultados. Ambos vêm da Anchore sob Apache-2.0, e as equipas costumam usá-los em conjunto.
O CRACI pode substituir o Syft e o Grype?
Para o software que constrói em GitHub Actions, sim. O CRACI regista a SBOM enquanto o build corre, com um estado de completude por job e por cache, e continua a reavaliar as SBOM monitorizadas à medida que surgem novas vulnerabilidades. Para imagens que não construiu, mantenha um scanner como o Syft e o Grype.
Registe um build e compare
Execute um job de GitHub Actions no CRACI e coloque a SBOM registada ao lado da que o seu scanner produz.
Marcar demo